Studie von Onekey Der Countdown läuft: Endspurt für den Cyber Resilience Act

Anbieter zum Thema

secunet Security Networks AG

FTAPI Software GmbH

Ab Herbst 2026 stellt der Cyber Resilience Act Unternehmen vor viele Herausforderungen: Meldepflichten, die Erstellung von Software-Stücklisten und die Umstellung auf „Secure by Design“ müssen umgesetzt werden. Doch nur wenige sind bisher darauf vorbereitet.

Der EU Cyber Resilience Act (CRA) bringt für Unternehmen signifikante Herausforderungen mit sich. Dazu gehören umfangreiche Meldepflichten, die Anforderung, detaillierte Software-Stücklisten zu erstellen, um Transparenz über eingesetzte Softwarekomponenten zu gewährleisten, sowie die Entwicklung von Produkten nach dem „Secure by Design“-Prinzip, um von Anfang an Cyberresilienz und Sicherheit sicherzustellen.

Deutschlands Umgang mit dem EU Cyber Resilience Act

Die deutsche Wirtschaft misst dem EU Cyber Resilience Act jedoch noch nicht die Bedeutung bei, die angesichts der damit verbundenen Pflichten für Hersteller, Importeure und Distributoren vernetzter Geräte, Maschinen und Anlagen angemessen wäre. Zu diesem Ergebnis kommt der „IoT & OT Cybersecurity Report 2025“ von Onekey.

Cyber Resilience Act

BSI veröffentlicht Leitfaden zum CRA

Ergebnisse der Studie

• Demnach ist nur ein knappes Drittel (32 %) der Unternehmen mit den Anforderungen des EU Cyber Resilience Act umfassend vertraut.

• Weitere 36 Prozent haben sich zumindest schon damit befasst. Aber mehr als ein Viertel (27 %) haben sich dem Thema noch gar nicht zugewendet. Entsprechend zögerlich ist die Umsetzung.

• Lediglich 14 Prozent der befragten Firmen haben bereits umfangreiche Maßnahmen eingeleitet, um die Einhaltung der CRA-Vorschriften bei ihren vernetzten Geräten, Maschinen und Anlagen zu gewährleisten.

• Immerhin 38 Prozent haben bereits erste Schritte dazu unternommen.

• Aber ebenso viele Unternehmen haben laut „IoT & OT Cybersecurity Report 2025“ bislang noch nichts unternommen, um den neuen EU-Regularien zu genügen.

Meldepflicht von Sicherheitslücken

Drei Sofortmaßnahmen zum Cyber Resilience Act

Mit diesen Herausforderungen kämpfen Unternehmen

Mit welchen Herausforderungen in Bezug auf den Cyber Resilience Act die Unternehmen in der Praxis zu kämpfen haben, wollte Onekey bei der Umfrage herausfinden. Die Firmen durften dabei mehrere Aspekte nennen:

• An erster Stelle steht demnach für 37 Prozent der Unternehmen die Meldepflicht bei sicherheitskritischen Vorfällen innerhalb von 24 Stunden.

• Gleich darauf folgt mit 35 Prozent die Einhaltung der Kriterien „Secure by Design“ und „Secure by Default“.

• 29 Prozent der Befragten stufen die Erstellung einer Software Bill of Materials (SBOM) – also einer Software-Stückliste – als größte Herausforderung ein.

• Beinahe genauso viele Firmen sehen ein Hauptproblem darin, den Überblick über die Verwaltung von Software-Schwachstellen zu behalten.

Hersteller müssen Funktionalität & Sicherheit gleich gewichten

Wendenburg erläutert die Hintergründe: „Viele Hersteller digitaler Geräte, Maschinen und Anlagen haben bislang vor allem die Funktionalität ihrer Produkte in den Fokus gestellt, und die Angreifbarkeit durch Cyberattacken weniger stark berücksichtigt. Mit dem Cyber Resilience Act ist es nun zwingend erforderlich, beide Aspekte als gleichwertig einzustufen. Dem einen oder anderen Unternehmen fällt diese Doppelfokussierung noch schwer.“

Er verweist auf die „äußerst umfangreiche Palette von Produkten, die unter die neue EU-Verordnung fallen“. Das Spektrum erstreckt sich von digitalem Spielzeug und Geräten für das Smart Home inklusive vernetzter weißer Ware über Bezahlterminals, Ladestationen, IP-Kameras, medizinischen Geräten oder Gebäudeautomatisierungssystemen bis hin zu industriellen Steuerungen, CNC-Maschinen, Industrierobotern oder Produktionsanlagen mit Fernwartung, um nur einige Beispiele aufzuzählen.

Sicherheitsanforderungen im Maschinenbau

Wie der Cyber Resilience Act den Maschinenbau verändert

Führungskräfte müssen umdenken

„In vielen dieser Marktsegmente war Cybersicherheit bislang vor allem ein Thema der Absicherung des eigenen Unternehmens gegen Angriffe, aber nicht des Schutzes der Produkte vor Cyberattacken“, sagt Wendenburg. Er räumt ein: „Diese Umstellung in den Köpfen der Führungskräfte hat begonnen, braucht naturgemäß aber ihre Zeit.“ Zugleich weist er auf die weitreichenden Folgen hin, wenn die Unternehmen dem Cyber Resilience Act nicht die gebotene Aufmerksamkeit widmen.

OT wird bisher vernachlässigt

Die CRA-Konformität ist für die Unternehmen indes nicht nur wichtig, um den Regulierungsvorschriften zu entsprechen, sondern auch, um sich und ihre Kunden tatsächlich vor zunehmender Cyberkriminalität zu schützen. Behörden wie das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Bundeskriminalamt (BKA) gehen davon aus, dass sich die Bedrohungslage in den nächsten Jahren weiter zuspitzen wird. Bereits im Jahr 2024 belief sich der Gesamtschaden durch Cybercrime-Vorfälle aller Art in Deutschland auf geschätzte 178,6 Milliarden Euro – eine Steigerung um 30,4 Milliarden Euro gegenüber dem Vorjahr.

Jan Wendenburg warnt jedoch: „In vielen Unternehmen steht der Schutz der Computersysteme und Netzwerke im Vordergrund, während industrielle Steuerungen in Maschinen und Anlagen bei Sicherheitsfragen häufig zu wenig Beachtung finden. Doch angesichts der um sich greifenden Digitalen Transformation industrieller Prozesse wächst die Angriffsfläche für Cyberbedrohungen auf dem Shop Floor immer stärker. Daher müssen in Werkshallen und Logistikzentren mindestens die gleichen hohen Sicherheitsmaßstäbe angesetzt werden wie im Rechenzentrum.“

IoT-Sicherheit nach EU-Vorgaben

So entsprechen IoT-Designs nachge­wiesen dem Cyber Resilience Act

(ID:50548967)